dict.cc:n 1 741 kumppanin suostumusbanneri nosti GDPR-valituksen

Sanakirjasivusto, jolla on 1 741 tietoja jakavaa kumppania

Itävaltalainen tietosuojajärjestö noyb on jättänyt GDPR-valituksen suosittua verkkosanakirjaa dict.cc:tä vastaan sen tavasta kerätä suostumusta verkkoseurantaan. Ongelma ei ole se, että sivusto pyytää lupaa, vaan se, mitä tapahtuu, kun käyttäjä yrittää aidosti ymmärtää, mihin on suostumassa.

noybin laskelmien mukaan dict.cc:n suostumusbanneri nimeää 1 741 erillistä "kumppania", jotka saattavat vastaanottaa tai käsitellä kävijätietoja. Voidakseen tehdä tietoon perustuvan päätöksen käyttäjän olisi periaatteessa luettava jokaisen kumppanin tietosuojaseloste ennen hyväksymispainikkeen napsauttamista. noyb arvioi, että pelkästään tähän tehtävään menisi noin 172 tuntia – yli kokonainen viikko tauotonta lukemista – vain yhden sanakirjasivustokäynnin arvioimiseksi.

Tämä kuilu lain vaatiman ja käyttöliittymän tosiasiallisesti mahdollistaman välillä on valituksen ydin, ja se nostaa esiin kysymyksen, joka ulottuu paljon yhtä verkkosivustoa pidemmälle: voidaanko suostumusta, jonka asianmukainen arviointi vie päiviä, koskaan pitää tietoon perustuvana?

Miksi tämä näyttää harhaanjohtavalta rakenteelta eikä suunnitteluvialta

GDPR:n perusperiaate, joka on kirjattu 5 artiklan 1 kohdan a alakohtaan, edellyttää, että henkilötietoja käsitellään lainmukaisesti, asianmukaisesti ja läpinäkyvästi. Lain mukainen suostumus on pätevä vain, jos se on annettu vapaaehtoisesti, yksilöitynä ja tietoisena. noybin valituksessa väitetään, että yli tuhat kumppania luetteleva banneri tekee tietoon perustuvasta suostumuksesta rakenteellisesti mahdotonta. Käyttäjille jää kaksi todellista vaihtoehtoa: napsauttaa hyväksy ymmärtämättä, mihin suostuu, tai poistua sivustolta kokonaan.

Tämä on tuttu muoto verkkoseurannan ekosysteemissä. Suostumusseinät, joissa on laajoja kumppaniluetteloita, eivät ole sattumanvaraista monimutkaisuutta. Ne toimivat kitkana, jonka tarkoitus on tehdä kieltäytymisestä tai huolellisesta tarkastelusta niin aikaa vievää, että hyväksymisestä tulee vähimmän vastuksen tie. Mekanismi kaikuu sitä, mitä tutkijat ovat löytäneet muissa seurantatutkimuksissa, mukaan lukien raportoinnissa siitä, kuinka TikTok seuraa käyttäjiä, vaikka sovellusta ei olisi edes asennettu, sellaisten pikselien avulla, joita useimmat eivät koskaan näe tai joihin he eivät millään merkityksellisellä tavalla anna suostumustaan. Molemmissa tapauksissa tiedonkeruun tekninen arkkitehtuuri ylittää realistisen käyttäjän kyvyn tarkastella sitä.

dict.cc:n kumppaniluettelon mittakaava heijastaa myös laajempaa mallia siitä, kuinka henkilötiedot virtaavat kaupallisissa ekosysteemeissä keruun alettua. Kun kymmeniä tai satoja kolmansia osapuolia on sopimuksellisesti liitetty mainostekniikan tai analytiikan ketjuun, alkuperäinen verkkosivuston ylläpitäjä usein menettää käytännön näkyvyyden siihen, miten tietoja käytetään myöhemmin ketjussa, vaikka se onkin edelleen oikeudellisessa vastuussa alkuperäisen suostumuksen keräämisestä.

Mitä Itävallan sääntelyviranomaisen on nyt ratkaistava

Valitus asettaa Itävallan tietosuojaviranomaisen vaikeaan paikkaan. Sääntelyviranomaiset ovat yleisesti hyväksyneet, että suostumusbannerit voivat luetella kolmansia osapuolia, koska GDPR ei suoraan kiellä monimutkaisia mainosekosysteemejä. Mutta noybin valitus pakottaa tarkempaan kysymykseen: missä vaiheessa kumppaniluettelosta tulee niin suuri, että sen kautta kerätty suostumus ei enää ole lain mukaan pätevä, riippumatta siitä, miten banneri on muotoiltu tai suunniteltu?

Jos sääntelyviranomainen asettuu noybin kannalle, päätöksellä voi olla heijastusvaikutuksia koko mainostekniikan alalle, jolla suuret kumppaniluettelot, jotka on sidottu esimerkiksi IAB:n läpinäkyvyys- ja suostumuskehykseen, ovat yleinen käytäntö, eivät dict.cc:lle ominainen erikoisuus. Monet julkaisijat luottavat vastaavan pitkiin kumppanirekistereihin rahoittaakseen liikennettä ohjelmallisen mainonnan kautta. dict.cc:lle kielteinen ratkaisu voisi painostaa sivustoja kaikkialla Euroopassa vähentämään kumppanimääriä, yksinkertaistamaan suostumusprosesseja tai kohtaamaan vastaavia valituksia.

Tämä ei ole ensimmäinen kerta, kun sääntelyviranomaiset joutuvat kamppailemaan tietokäytäntöjen kanssa, jotka teknisesti noudattavat tiedonantovaatimuksia mutta käytännössä estävät niiden tarkoituksen toteutumisen. Työntekijä- ja opiskelijatietoja koskevat tapaukset, kuten PowerSchoolin opiskelijaseurantakäytäntöjen ympärillä oleva tarkastelu, osoittavat samanlaista jännitettä: suostumus tai ilmoitus on olemassa paperilla, mutta henkilön käytännön mahdollisuus ymmärtää tai kiistää tietojen keruu on minimaalinen.

Mitä tämä tarkoittaa sinulle

Jos olet koskaan napsauttanut "Hyväksy kaikki" evästebannerissa lukematta sanaakaan, et ole yksin, etkä tämän valituksen mukaan ole myöskään täysin syyllinen. Monien suostumusbannereiden suunnittelu olettaa – ja voidaan väittää, että nojaa – juuri tähän käytökseen.

Muutama käytännön askel voi auttaa:

• Etsi "Hylkää kaikki" tai "Hallinnoi asetuksia" -vaihtoehto ennen bannerin napsauttamista. Monet sivustot piilottavat sen, mutta GDPR edellyttää sen olemassaoloa.
• Käytä selaimen tietosuojatyökaluja tai laajennuksia, jotka estävät kolmannen osapuolen seurannan oletusarvoisesti, mikä vähentää kumppaniverkostoihin päätyvän tiedon määrää.
• Kiinnitä huomiota siihen, kuinka monta "kumppania" suostumusbanneri nimeää. Tuhansien lukumäärä, kuten dict.cc:n tapauksessa, on merkki siitä, että sivuston tietojenjakorakenne muistuttaa enemmän mainostekniikan markkinapaikkaa kuin yksinkertaista analytiikka-asetelmaa.
• Tue tai seuraa noybin kaltaisten tahojen täytäntöönpanotoimia. Sääntelypaine on usein ainoa voima, joka muuttaa tapaa, jolla nämä bannerit rakennetaan.

Lopputulos

Tämä GDPR-valitus dict.cc:tä vastaan ei oikeastaan koske sanakirjasivustoa. Se on testitapaus sille, voiko "suostumus" selviytyä kohtaamisesta modernin mainostekniikan mittakaavan kanssa. Kun evästebannerin hyväksyminen vaatisi yli viikon lukemisen tehdäkseen sen asianmukaisesti, banneri on jo todennäköisesti epäonnistunut ainoassa tehtävässään: varmistaa, että käyttäjät tietävät, mihin suostuvat. Itävallan sääntelyviranomaisen ratkaisu tässä asiassa voi määrittää, pysyvätkö vastaavanlaiset paisutetut suostumusprosessit vakiokäytäntönä vai alkavatko ne kadota verkosta.